Resumen
El inicio de sesión único permite que tu gente entre a la Safety App con las credenciales corporativas que ya tiene, y SCIM mantiene sus cuentas al día con tu directorio sin que nadie las mantenga a mano. Ambos los configura un Super Admin en la página de Integrations: estableces la confianza con tu proveedor de identidad, mapeas los atributos que identifican a cada persona, y opcionalmente exiges que todos inicien sesión de esa manera. Este artículo cubre la configuración completa y el orden en que conviene hacerla.
Introducción
A medida que una organización crece aparecen dos problemas a la vez. Las personas acumulan una contraseña más que gestionar, y los administradores acumulan cuentas que crear, actualizar, y desactivar manualmente, lo que significa que quienes se van conservan el acceso más tiempo del debido. Conectar un proveedor de identidad resuelve ambos: tu directorio se convierte en el único lugar donde se otorga y se retira el acceso, y la Safety App lo sigue.
Este es trabajo de Super Admin, normalmente hecho una sola vez con ayuda de quien administra tu plataforma de identidad. Encaja con organizaciones que ya operan un directorio como Okta, Microsoft Entra ID, Google Workspace, OneLogin, o Ping Identity, y de hecho funcionará cualquier proveedor compatible con el estándar SAML 2.0.
Conceptos clave
- Proveedor de identidad: el sistema externo que autentica a tu gente. La Safety App confía en él para confirmar quién es alguien, y nunca ve su contraseña.
- Proveedor de servicio: el papel que cumple la Safety App en este arreglo. Recibe una confirmación firmada de identidad desde tu proveedor de identidad y otorga el acceso a partir de ella.
- Intercambio de confianza: el paso de configuración en el que a cada lado se le entregan los datos identificatorios y el certificado de firma del otro, para que cada uno reconozca los mensajes del otro como genuinos.
- Mapeo de atributos: la correspondencia entre los campos que envía tu proveedor de identidad y los campos que espera la Safety App. La dirección de correo es la que debe estar bien, porque es lo que vincula un inicio de sesión con una cuenta.
- Exigencia de SSO: una configuración a nivel de cuenta que obliga a todos a iniciar sesión a través de tu proveedor de identidad y no por ninguna otra vía.
- Aprovisionamiento SCIM: creación, actualización, y desactivación automática de cuentas de la Safety App impulsada por tu directorio, de modo que el ciclo de vida de la cuenta siga a quienes ingresan, cambian de puesto, y se van, sin trabajo manual.
Pasos a seguir
Abre la configuración de Integrations
Inicia sesión como Super Admin, abre Settings, luego el grupo Integrations, y luego SSO & SCIM. Todo lo de este artículo se configura aquí. Cada integración de esta página funciona de forma independiente, así que puedes configurar el inicio de sesión único sin tocar nada más, y desactivar una conexión sin afectar a las demás. Ten en cuenta que la conexión con el LMS de KnowledgeCity se configura en su propia página dentro de Settings, no aquí.
Leyenda: Inicia sesión como Super Admin, abre Settings, luego el grupo Integrations, y luego SSO & SCIM.
Crea el registro de la integración
Selecciona + Add Integration y completa los detalles de la integración, incluidos su nombre, el proveedor, y el método de autenticación, y guarda. La nueva integración aparece en la tabla de integraciones. Debajo de esa tabla, en la sección SAML SSO Configuration, selecciona tu nueva integración en el desplegable para empezar a configurarla. Crear el registro primero y configurarlo después es el orden que espera la página.
Intercambia los datos con tu proveedor de identidad
En la consola de administración de tu proveedor de identidad, crea una nueva aplicación SAML y dale los valores de proveedor de servicio que muestra la Safety App: el SP Entity ID, que identifica a la Safety App, y la ACS URL, que es adonde tu proveedor envía a la persona después de autenticarla.
Luego trae tres valores en sentido contrario e ingrésalos en la Safety App: la IdP SSO URL, que es adonde se envía a las personas para autenticarse; el IdP Entity ID, que identifica a tu proveedor; y el X.509 Certificate, el certificado público con el que tu proveedor firma lo que envía. Con ambas mitades en su sitio, cada lado puede reconocer al otro.
Mapea los atributos que identifican a cada persona
En tu proveedor de identidad, configura los atributos que se envían con cada inicio de sesión. La dirección de correo electrónico del usuario es obligatoria y debe coincidir con el correo de su cuenta en la Safety App: si no coincide, la persona se autentica correctamente ante tu proveedor y aun así no puede entrar, que es la causa más común de un despliegue fallido.
También puedes enviar el nombre y el apellido para que las cuentas lleven los nombres correctos, un atributo de rol si quieres que la asignación de roles la impulse tu directorio, y un atributo de departamento, que se usa para asignar el departamento de la persona automáticamente la primera vez que inicia sesión.
Prueba antes de anunciar nada
Guarda la configuración y prueba el flujo de inicio de sesión antes de avisar a nadie del cambio. Prueba con una cuenta real y no con la tuya si es posible, ya que la sesión de un administrador puede estar ya establecida y ocultar un problema con el que un colega tropezaría de inmediato.
Activa la exigencia de SSO
La sección SSO Enforcement obliga a todos a iniciar sesión a través de tu proveedor de identidad. Viene desactivada y debe seguir así hasta que tengas una integración activa y funcionando.
Actívala solo después de confirmar que el flujo de inicio de sesión funciona, porque encenderla sin una integración de SSO activa dejaría a tus usuarios sin poder entrar en absoluto. Las cuentas de administrador maestro de KnowledgeCity conservan su acceso independientemente de esta configuración, y eso es lo que hace posible la recuperación si alguna vez se activa la exigencia sobre una configuración rota.
Configura el aprovisionamiento SCIM
En la sección SCIM User Provisioning, selecciona Generate Token. Esto produce un token que tu proveedor de identidad usa para autenticar sus solicitudes de aprovisionamiento. Cópialo junto con la SCIM Base URL que se muestra en la página, y trata el token como un secreto.
En Okta, crea una aplicación SCIM, define su URL base de conector como la SCIM Base URL, establece el modo de autenticación en HTTP Header y pega el token, y luego habilita las funciones de aprovisionamiento que quieras: crear usuarios, actualizar atributos de usuario, y desactivar usuarios.
En Microsoft Entra ID, abre tu aplicación en Enterprise Applications, ve a Provisioning, pon el modo en Automatic, ingresa la SCIM Base URL como URL de inquilino y el token como token secreto, y usa Test Connection para confirmar el enlace antes de guardar e iniciar el aprovisionamiento.
Leyenda: En la sección SCIM User Provisioning, selecciona Generate Token.
Conclusión
Haz esta configuración en orden y cada paso confirma al anterior: crea el registro de la integración, intercambia los datos con tu proveedor de identidad, mapea los atributos teniendo la dirección de correo como la que debe coincidir, prueba el inicio de sesión, y solo entonces considera la exigencia. Añade SCIM una vez que el inicio de sesión funcione, y desde ese momento el ciclo de vida de las cuentas seguirá a tu directorio, de modo que quien se elimina allí pierde el acceso aquí sin que nadie tenga que acordarse de hacerlo.